De AI-verordening voor het mkb: wat moet je nu doen?
Gebruik je AI in je bedrijf, zoals ChatGPT, Copilot of AI in je software, dan ben je volgens de AI-verordening meestal “gebruiksverantwoordelijke”, en heb je nu twee plichten. Zorg dat je medewerkers genoeg van AI weten om het verantwoord te gebruiken, en vertel mensen dat ze met AI communiceren als dat niet vanzelf duidelijk is. Zware regels gelden pas voor hoog-risico-toepassingen, zoals AI die sollicitanten selecteert, en die zijn uitgesteld tot december 2027.
Welke rol heb jij?
De meeste mkb-bedrijven maken geen AI, ze gebruiken het. Dan ben je gebruiksverantwoordelijke.
De AI-verordening onderscheidt onder meer de aanbieder, die een AI-systeem ontwikkelt of onder eigen naam op de markt brengt, en de gebruiksverantwoordelijke, die een AI-systeem onder eigen verantwoordelijkheid gebruikt1. Gebruik je ChatGPT, Copilot of AI in je boekhoudpakket, dan ben je gebruiksverantwoordelijke. Bouw je zelf een AI-toepassing en bied je die aan anderen aan, dan ben je ook aanbieder, met meer plichten.
Veel ondernemers zijn er nog niet mee bezig. In een KVK-peiling onder 651 ondernemers kende ongeveer de helft de wet niet, was 7% goed geïnformeerd en bereidde slechts 2 tot 3% zich actief voor5.
Vier risiconiveaus.
De verordening regelt AI naar risico. Kies een niveau voor voorbeelden en wat het voor jou betekent als gebruiker.
Verboden
Sinds 2 februari 2025 verboden1. Onder meer: manipulatie die mensen schade toebrengt, social scoring, en emotieherkenning op de werkvloer en in het onderwijs, behalve om medische of veiligheidsredenen. De omnibus voegde twee verboden toe, over niet-consensuele intieme beelden en kindermisbruikmateriaal, met een overgangstermijn tot 2 december 20262.
Voor jou: gebruik geen software die medewerkers via camera of stem op emoties beoordeelt.
Hoog risico
AI die beslist of meebeslist over belangrijke zaken voor mensen. Voor het mkb het meest relevant: AI bij werving en selectie, zoals het filteren van cv’s, en bij beslissingen over promotie, ontslag of het verdelen van taken1.
Als gebruiker moet je dan onder meer de instructies van de aanbieder volgen, menselijk toezicht regelen door mensen die daarvoor zijn opgeleid, en de logs bewaren. Deze plichten zijn uitgesteld tot 2 december 202723.
Transparantie
Sinds 2 augustus 20262: wie met een AI-systeem communiceert, moet dat weten, tenzij het vanzelf duidelijk is. Deepfakes moet je als zodanig herkenbaar maken, net als door AI gemaakte tekst die het publiek informeert over zaken van algemeen belang en niet door een mens is gecontroleerd1.
Voor jou: een chatbot op je site of in WhatsApp maakt duidelijk dat het AI is.
Minimaal risico
Het meeste gebruik in het mkb: teksten schrijven, mail sorteren, samenvatten, vertalen, plannen. Daarvoor gelden geen aparte regels, behalve AI-geletterdheid1.
De AVG blijft wel gelden zodra er persoonsgegevens in het spel zijn. Zie klantgegevens in ChatGPT.
Vereenvoudigd. Bij twijfel over hoog risico: lees bijlage III van de verordening of vraag een jurist.
Wat wanneer geldt.
Na de AI-omnibus, die op 24 juli 2026 werd gepubliceerd en op 27 juli 2026 in werking trad.
| Datum | Wat |
|---|---|
| 2 februari 2025 | Verboden praktijken en AI-geletterdheid1 |
| 27 juli 2026 | AI-omnibus, Verordening (EU) 2026/1744, in werking3 |
| 2 augustus 2026 | Transparantieplichten van artikel 502; toezicht en handhaving6 |
| 2 december 2026 | Machineleesbaar labelen van AI-inhoud voor systemen die al op de markt waren; nieuwe verboden van de omnibus2 |
| 2 december 2027 | Hoog risico, bijlage III (onder meer werving en selectie)23 |
| 2 augustus 2028 | Hoog risico in producten onder Europese productwetgeving2 |
De omnibus veranderde ook de AI-geletterdheid. Die blijft een plicht voor aanbieders en gebruiksverantwoordelijken, maar het gaat nu om maatregelen die AI-geletterdheid ondersteunen, niet om het garanderen van een bepaald niveau4. Een certificaat is niet nodig; je mag intern vastleggen wat je hebt gedaan6.
Vijf stappen voor deze maand.
- Maak een lijst van alle AI die je gebruikt. Ook AI die in bestaande software zit, en de chatbots die medewerkers zelf gebruiken. Noteer per tool waarvoor en door wie.
- Kijk of er iets bij zit in werving of personeel. Cv-selectie, beoordelingen of planning op basis van prestaties kunnen hoog risico zijn. Vraag de leverancier hoe hij zich voorbereidt op december 2027.
- Regel AI-geletterdheid per rol. Een korte uitleg voor iedereen, meer voor wie AI-uitkomsten gebruikt in beslissingen. Leg vast wat je deed6. Een voorbeeld staat in AI-afspraken met medewerkers.
- Zeg het als klanten met AI praten. Chatbot op de site, AI in WhatsApp of een automatisch mailantwoord: één zin is genoeg.
- Houd de AVG ernaast. De AI-verordening vervangt de AVG niet. Verwerkt een AI-dienst persoonsgegevens voor jou, dan heb je een verwerkersovereenkomst nodig.
Over boetes: voor de zwaarste overtredingen kunnen die oplopen tot € 35 miljoen of 7% van de wereldwijde jaaromzet. Voor het mkb geldt het laagste van die twee1.
Koop je software die zelf acties uitvoert, vraag de leverancier dan hoe hij menselijk toezicht en een logboek regelt. Hoe Traze dat doet, staat bij veiligheid.
Veelgestelde vragen
Geldt de AI-verordening ook voor kleine bedrijven?
Ja. Er is geen ondergrens in omvang: ook een eenmanszaak die AI gebruikt, valt eronder. Voor de meeste kleine bedrijven komen de plichten neer op AI-geletterdheid en transparantie. Boetes zijn voor het mkb begrensd op het laagste van het vaste bedrag en het percentage van de omzet.
Wat is AI-geletterdheid?
Dat medewerkers die met AI werken genoeg weten om het verantwoord te gebruiken: wat het kan, waar het fouten maakt en welke gegevens er niet in mogen. Het geldt sinds 2 februari 2025. Een certificaat is niet nodig; leg vast welke maatregelen je per rol hebt genomen.
Wanneer gelden de regels voor hoog risico?
Door de AI-omnibus, die op 27 juli 2026 in werking trad, zijn ze uitgesteld. Voor zelfstandige hoog-risicosystemen, zoals AI voor werving en selectie, gelden ze vanaf 2 december 2027. Voor AI in producten onder Europese productregels vanaf 2 augustus 2028.
Moet ik zeggen dat een tekst door AI is geschreven?
Niet altijd. Je moet het zeggen als iemand rechtstreeks met een AI-systeem communiceert, zoals een chatbot, en als het niet vanzelf duidelijk is. Voor deepfakes en voor AI-teksten die het publiek informeren over zaken van algemeen belang gelden aparte regels. Een door AI voorbereide mail die een mens controleert en verstuurt, valt daar meestal niet onder.
Bronnen
- Verordening (EU) 2024/1689, de AI-verordening (AI Act): onder meer artikel 3 (definities), 4 (AI-geletterdheid), 5 (verboden praktijken), 6 en bijlage III (hoog risico), 26 (gebruiksverantwoordelijken), 50 (transparantie), 99 (boetes) en 113 (inwerkingtreding): eur-lex.europa.eu/eli/reg/2024/1689/oj
- Houthoff, AI Act: transparency obligations and the AI Omnibus regulation (1 september 2026): www.houthoff.com/insights/news/ai-act-transparency-obligations-and-the-ai-omnibus-regulation/
- Verordening (EU) 2026/1744 van 8 juli 2026 (Digital Omnibus on AI), tot wijziging van de AI-verordening; in werking 27 juli 2026: eur-lex.europa.eu/eli/reg/2026/1744/oj
- Gibson Dunn, EU AI Act Omnibus Agreement: postponed high-risk deadlines and other key changes (mei 2026): AI-geletterdheid blijft plicht, afgezwakt naar “ondersteunen”: www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/
- KVK, KVK-onderzoek: ondernemers zetten nauwelijks stappen rond Europese AI-wetgeving (11 september 2025; 651 ondernemers): www.kvk.nl/pers/kvk-onderzoek-ondernemers-zetten-nauwelijks-stappen-rond-europese-ai-wetgeving/
- Europese Commissie, AI Literacy: Questions & Answers (geen certificaat nodig; intern vastleggen volstaat): digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
Lees verder
Zie wat AI voor
jouw bedrijf doet.
In een demo van 15 of 45 minuten laten we Traze zien met jullie eigen voorbeelden: welke collega's, welke taken, hoeveel uur.